Europaisches Patentamt 
European Patent Office 
Office europeen des brevets 



© EUROPAISCHE PATENTANMELDUNG 

© Anmeldenummer: 93250344.4 @ Int. CI. 5 : G07F 7/10 

© Anmeldetag: 13.12.93 



© Prioritat: 23.12.92 DE 4243851 

© Veroffentlichungstag der Anmeldung: 
06.07.94 Patentblatt 94/27 

© Benannte Vertragsstaaten: 

AT BE CH DE DK ES FR GB GR IE IT LI LU MC 
NL PT SE 

© Anmelder: DEUTSCHE BUNDESPOST 
TELEKOM 

Godesberger Allee 87-93 
D- 531 75 Bonn(DE) 

Anmelder: INTERNATIONAL BUSINESS 

MACHINES CORPORATION 

Old Orchard Road 

Armonk, N.Y. 10504(US) 

Anmelder: ORGA DATENTECHNIK GmbH 

Nordstrasse 26 

D-33102 Paderborn(DE) 

Anmelder: GAD GESELLSCHAFT FUR 

AUTOMATISCHE DATENVERARBEITUNG EG 

Postfach 3048 

D-4400 Munster(DE) 

© Erfinder: Endler, Reinhard 
Behringstrasse 31 
D-90542 Eckental(DE) 
Erfinder: Westphal, Reinhard 
Sprangerstrasse 16 



D-90574 Rosstal(DE) 
Erfinder: Hartieif, Siegfried 
Heinrich-Heine-Strasse 18A 
D-64823 Gross-Umstadt(DE) 
Erfinder: Niehaus, Herbert 
Franz- Marc Weg 21 
D-48165 Munster(DE) 

Erfinder: Schafer, Peter, GAD: Gesellschaft 
fur 

automatische Datenverarbeitung EG, 

Postfach 30 48 

D-4400 Munster(DE) 

Erfinder: Mergemeier, Detlev, GAD: 

Gesellschaft fur 

automatische Datenverarbeitung EG, 

Postfach 30 48 

D-4400 Munster(DE) 

Erfinder: Hovemeyer, Dieter, Orga 

Datenverarbeitung EG 

Nordstrasse 26 

D-33102 Paderborn(DE) 



© Vertreter: Strehse, Rainer et al 
Deutsche Bundespost Telekom, 
Forschungs-und Technologiezentrum, 
Ref. Z 33, 
Postfach 1.13 
D-10108 Berlin (DE) 



CM 
< 



Lf> 
CO 



© Verfahren zum Transferieren von Buchgeldbetragen auf und von Chipkarten. 



© 2.1. Bei bekannten Verfahren wird davon ausge- 
gangen, dafi debitorische und kreditorische Borsen- 
funktionen unabhangig voneinander arbeiten. Der er- 
findungsgemaBen Lbsung liegt die Aufgabe zugrun- 
de, die Vorteile der kreditorischen Borse mit den 
Vorteilen der debitorischen Borse zu vereinen. 

2.2. Erfindungsgemafi werden uberschreibbare 
Speicherplatze einer Chipkarte in einen Speicher- 
platz fur kreditorische Borsenfunktionen und minde- 
stens einen Speicherplatz fiir debitorische Borsen- 
funktionen aufgeteilt. Uber das Applikationspro- 



gramm der Chipkarte wird in Verbindung mit dem 
Programm eines Autorisierungssystems ein Buch- 
geldbetrag aus der kreditorischen Borse, einmalig 
Oder mehrfach hintereinander, in die debitorische 
Borse transferiert 

2.3. Durch die erfindungsgemaBe Losung tst der 
Dienstenutzer in der Lage, mittels nur einer multi- 
funktionalen Chipkarte, jederzeit aus dem ihm im 
Rahmen der kreditorischen Borse gewahrten Kredit 
die debitorische Borse der Chipkarte aufzufullen. 
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Die Erfindung betrifft ein Verfahren zum Trans- 
ferieren von Buchgeldbetragen auf und von gesi- 
cherten Chipkarten, die einen Identifizierungscode 
enthaiten, der in Verbindung mit einem autorisier- 
ten Schlussel in einem Autorisierungssystem akti- 
viert wird. 

Einfache spezielle Borsenlosungen auf Chip- 
karten sind verschiedentlich im Einsatz. Auf inter- 
national Ebene werden zur Zeit sowohl debitori- 
sche als auch kreditorische Borsen spezifiziert 
(ETSI D/EN/TE 090114, Terminal Equipment (TE); 
Requirements for IC cards and terminals for tele- 
communication use, Part 4 - Payment methods, 
Version: 4, Date: 7 February 1992 und 
CEN/TC224/WG10; Intersector Electronic purse, 
DRAFT: prEN xxxxx-1, Date: 21. 02. 92) 
Mit der kreditorischen Borsenfunktion wird dem 
Dienstenutzer ein Kreditrahmen eingeraumt, den er 
fur unterschiedliche, meist hoherwertige Bezahlvor- 
gange nutzen kann. 

Mit der debitorischen Borsenfunktion verfugt 
der Dienstenutzer Uber ein "elektronisches Porte- 
monnaie", mit dem er zumeist niedrigpreisige Be- 
zahlvorgange tatigen kann, wie z. B. telefonieren, 
Fahrscheine kaufen, Parkgebuhren bezahlen etc. 
Die Abwicklung kann Uber eine Oder mehrere debi- 
torische Borsen fur unterschiedliche Diensteanbie- 
ter erfolgen. Mit der debitorischen Borse hat der 
Dienstenutzer den Vorteil 

- der schnellen Abwicklung von Zahlungsvor- 
gangen, 

- der AnonymitSt der ZahlungsvorgSnge und 

- des unmittelbaren Uberblickes uber seine 
Ausgaben. 

Eine debitorische Borse mit oben beschriebe- 
nen Vorteilen weist dagegen nicht den Sicherheits- 
standard einer kreditorischen Borsenfunktion auf. 
So ist z. B. ein PIN-Handling oder eine Online- 
Authentifizierung an Billigterminals, wie z. B. an 
einem Fahrkartenautomaten im Bus, entweder sehr 
zeitaufwendig oder gar nicht moglich. Eine debitori- 
sche Borse darf also im Interesse des Benutzers 
keine grofieren Buchgeldbetrage beinhalten und 
muB dementsprechend oft neu aufgeladen werden. 

Bei alien bekannten Losungen wird immer da- 
von ausgegangen, daB debitorische oder kreditori- 
sche Borsenfunktionen unabhangig voneinander ar- 
beiten. 

Der Erfindung liegt die Aufgabe zugrunde, die 
Vorteile der kreditorischen Borse mit den Vorteilen 
der debitorischen Borse zu vereinen. 

ErfindungsgemaB werden die tiberschreibbaren 
Speicherplatze einer Chipkarte in mindestens einen 
Speicherplatz, der fOr kreditorische Borsenfunktio- 
nen eingerichtet ist und in mindestens einen Spei- 
cherplatz, der fur debitorische Borsenfunktionen 
eingerichtet ist, aufgeteiit. Ober das Applikations- 
programm der Chipkarte wird in Verbindung mit 



dem Programm eines Autorisierungssystems ein 
Buchgeldbetrag aus der kreditorischen Borse, ein- 
malig oder mehrfach hintereinander, in die debitori- 
sche Borse transfertert. Der Transfervorgang kann 

5 sowohl uber ein Autorisierungssystem als auch kar- 
tenintern erfolgen. DarUber hinaus ist die debitori- 
sche Borse so often angelegt, daft sie jederzeit 
auch direkt aus einem Autorisierungssystem gela- 
den werden kann, wie z. B. aus einem Geldautoma- 

io ten, einem Bankenterminal oder einem Kartentele- 
fon. 

Beim Transfer eines Geldbetrages uber ein Au- 
torisierungssystem wird zunachst der umzuladende 
Buchgeldbetrag aus dem kreditorischen Borsenfeld 

15 in das Autorisierungssystem geladen. Die Chipkarte 
gibt dazu Uber ihr Applikationsprogramm gleichzei- 
tig eine kryptographisch gesicherte Quittung an das 
Autorisierungssystem ab. 

AnschlieBend wird der gleiche Betrag vom Au- 

20 torisierungssystem in das debitorische Borsenfeld 
der Chipkarte geladen. Dieser Ladevorgang wird 
ebenfalls kryptographisch abgesichert quittiert. Das 
Autorisierungssystem erzeugt mit beiden Quittun- 
gen einen Buchungsdatensatz, der vom Dienstean- 

25 bieter der debitorischen Borse beim Diensteanbte- 
ter der kreditorischen Borse eingereicht wird. Der 
Diensteanbieter der kreditorischen Borse authentifi- 
ziert die Quittungen des Buchungsdatensatzes. Der 
umgebuchte Betrag wird dann dem Betreiber der 

30 debitorischen Borse gutgeschrieben. Das Konto 
des Dienstenutzers wird dementsprechend bela- 
stet. 

Beim karteninternen Transferieren eines Buch- 
geldbetrages wird der Transfer vom Autorisierungs- 

35 system in Gang gesetzt und lauft dann kartenintern 
Uber das Applikationsprogramm der Chipkarte ab. 
Die Chipkarte erzeugt uber ihr Applikationspro- 
gramm einen kryptographisch gesicherten Daten- 
satz, der vom Diensteanbieter der debitorischen 

40 Borse beim Diensteanbieter der kreditorischen 
Borse zur Verrechnung eingereicht wird. Der trans- 
ferierte Betrag wird vom Diensteanbieter der kredi- 
torischen Borse authentifiziert und dem Dienstean- 
bieter der debitorischen Borse gutgeschrieben. Das 

45 Konto des Dienstenutzers wird entsprechend bela- 
stet. 

Anhand eines Beispiels 

- fur den Transfer eines Buchgeldbetrages 
uber ein Autorisierungssystem und 
so - fur das karteninterne Transferieren eines 
Buchgeldbetrages in Verbindung mit einem 
Autorisierungssystem 
wird die erfindungsgemaBe Losung naher erlautert. 
Beim Transferieren eines Buchgeldbetrages 
55 Uber ein Autorisierungssystem wird nach dem Ein- 
geben der Chipkarte in ein Endgerat, wie beispiels- 
weise ein Kartentelefon, dem Dienstenutzer Dber 
ein Terminal der aktuelle Stand seiner debitori- 
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schen und kreditorischen Borse angezeigt. Parallel 
dazu findet sowohl eine Authentifikation der Chip- 
karte gegenuber dem Autorisierungssystem, ats 
auch eine Authentifikation des Autorisierungssy- 
stems gegenuber der Chipkarte durch geeignete 
kryptographische Verfahren start. 

Wenn der Dienstenutzer sich zum Auffullen 
seiner debitorischen Borse entschlteGt, wird durch 
das Auslosen eines dementsprechenden Befehls 
durch den Dienstenutzer der Umbuchungsvorgang 
ausgelost. Dabei werden zunSchst weitere Daten 
der debitorischen Borse der Chipkarte uber das 
Endgerat an das Autorisierungssystem ubertragen. 

Anhand des Programms des Autorisierungssy- 
stem wird uberpruft, ob das Verfallsdatum der de- 
bitorischen Borse abgelaufen ist, ob die Serien- 
nummer in einer Sperrliste steht und ob mit dem 
Aufladevorgang das Limit des Geldbetrages fur die 
debitorische Borse uberschritten wird. Bei erfolgrei- 
cher Prufung Uber das Programm des Autoriste- 
rungssystems erfolgt ein Auslesen weiterer Daten 
der kreditorischen Borse der Chipkarte. 

Uber das Programm des Autorisierungssy- 
stems wird ebenfalls gepruft, ob das Verfallsdatum 
der kreditorischen Borse abgelaufen ist, ob die 
Seriennummer in einer Sperrliste steht und ob der 
Kreditrahmen bei Abbuchung der gewunschten 
Summe gewahrt bleibt. 

AnschlieBend wird der Dienstenutzer durch das 
Programm des Autorisierungssystems uber das 
Endgerat zur Eingabe seiner personlichen Geheim- 
zahl PIN aufgefordert. Durch Eingabe der PIN und 
bei erfolgreicher Uberprufung durch die Chipkarte 
erfolgt uber den kryptographisch gesicherten Abbu- 
chungsbefehl, der vom Autorisierungssystem uber 
das Endgerat zur Chipkarte ubertragen wird, die 
Abbuchung des gewunschten Buchgeldbetrages 
aus der kreditorischen Borse. 

Als Quittung uber die Abbuchung des Buch- 
geldbetrages von der kreditorischen Borse wird 
mittels des Applikationsprogrammes der Chipkarte 
uber das Endgerat ein kryptographisch gesicherter 
Buchungsdatensatz erstellt, der vom Dienstebetrei- 
ber der debitorischen Borse zur Verrechnung beim 
Diensteanbieter der kreditorischen Borse einge- 
reicht wird. Gleichzeitig wird ein Message-Authenti- 
fikations-Code MAC Ubertragen. Der MAC wird ge- 
bildet, indem die Klartextdaten des Buchungsda- 
tensatzes mit einem in der Chipkarte vorhandenen 
Schlussel des Dienstebetreibers der kreditorischen 
Borse verschlusselt werden. Mit dem MAC uber- 
pruft der Dienstebetreiber der kreditorischen Borse 
die Echtheit des Buchungsdatensatzes, indem er 
den MAC entschlOsselt und die Daten mit den 
Klartexten im Buchungsdatensatz vergleicht. 

Nach Prufung des Buchungsdatensatzes wird 
der aus der kreditorischen Borse abgebuchte 
Buchgeldbetrag (zuzuglich MAC) ebenfalls krypto- 



graphisch gesichert, vom Autorisierungssystem 
uber das Endgerat in die debitorische Borse gela- 
den. 

Die Quittung uber den in die debitorische Bor- 
5 se der Chipkarte geladenen Buchgeldbetrag zuzUg- 
lich MAC erfolgt wiederum in Form einer MAC- 
gesicherten Bestatigung, genannt MAC. Sie wird 
kryptographisch gesichert uber das Endgerat zum 
Autorisierungssystem ubertragen. 
w Mit dem MAC uberpruft der Dienstebetreiber 

der kreditorischen Borse, ob dem Dienstenutzer 
auch tatsachlich die Dienstleistung, namlich das 
Laden des aus der kreditorischen Borse entnom- 
menen Buchgeldbetrages in die debitorische Bor- 
75 se, erbracht wurde. 

Patentanspruche 

1. Verfahren zum Transferieren von Buchgeldbe- 
20 tragen auf und von Chipkarten mit mindestens 

zwei uberschreibbaren SpeicherplStzen, unter 
Verwendung von Diensteanbieter-Endgeraten, 
die mit einem Autorisierungssystem verbindbar 
sind, wobei bekannte Verfahren, sowohl fur die 
25 Buchung als auch fur die kryptographisch ab- 

gesicherte Erstellung von Buchungsquittungen 
zum Einsatz kommen, 

dadurch gekennzeichnet, daft die uber- 
schreibbaren Speicherplatze der Chipkarte in 

30 einen kreditorischen und mindestens einen de- 

bitorischen Speicherplatz aufgeteilt werden, 
wobei uber das Applikationsprogramm der' 
Chipkarte in Verbindung mit dem Programm 
eines Autorisierungssystems ein in einem vor- 

35 gegebenen Kreditrahmen beliebig oft wieder- 

holbares Umbuchen von Buchgeldbetragen 
aus dem Speicherbereich fur kreditorische 
Borsenfunktion in den Speicherbereich fOr de- 
bitorische Borsenfunktion realisiert wird. 

40 

2. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB nach dem Eingeben der Chipkar- 
te in ein Endgerat eines Dienstebetreibers dem 
Dienstenutzer der aktuelle Stand der debitori- 

45 schen und kreditorischen Borse angezeigt 

wird, 

- daB parallel zur Anzeige der Betrage 
eine Authentifikation der Chipkarte ge- 
genuber dem Autorisierungssystem, als 

so auch eine Authentifikation des Autorisie- 

rungssystems gegenuber der Chipkarte 
durch geeignete kryptographische Ver- 
fahren stattfindet, 

- daB nach Auslosen des Umbuchungsvor- 
55 ganges durch den Dienstenutzer zum 

Auffullen der debitorischen Borse zu- 
nachst weitere Daten der debitorischen 
Borse der Chipkarte an das mit dem 
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Endgerat ansteuerbare Autorisierungssy- 
stem ubertragen werden, 
daB anhand des Programms des Autori- 
sierungssy stems uberpruft wird, ob das 
Verfallsdatum der debitorischen Borse 5 
abgelaufen ist, ob die Seriennummer in 
einer Sperrliste steht und ob mit dem 
Aufladevorgang das Limit des Buchgeld- 
betrages fur die debitorische Borse uber- 
schritten wird, io 
daS bei erfolgreicher PrUfung Uber das 
Programm des Autorisierungssystems 
ein Austesen weiterer Daten der kreditori- 
schen Borse der Chipkarte erfolgt, 
daB uber das Programm des Autorisie- 75 
rungssystems gepruft wird, ob das Ver- 
fallsdatum der kreditorischen Borse ab- 
gelaufen ist, ob die Seriennummer in ei- 
ner Sperrliste steht und ob der Kreditrah- 
men bei Abbuchung der gewunschten 20 
Summe gewahrt bleibt, 
daB der Dienstenutzer durch das Pro- 
gramm des Autorisierungssystems uber 
das Endgerat zur Eingabe seiner person- 
lichen Geheimzahl PIN aufgefordert wird, 25 
daB nach Eingabe der PIN und bei er- 
folgreicher Oberprufung durch die Chip- 
karte Ciber den kryptographisch gesicher- 
ten Abbuchungsbefehl, der vom Autori- 
sierungssystem zum Endgerat Ubertra- 30 
gen wird, die Abbuchung des gewUnsch- 
ten Buchgeldbetrages aus der kreditori- 
schen Borse erfolgt, 

daB als Quittung uber die erfoigte Abbu- 
chung des Buchgeldbetrages von der 35 
kreditorischen Borse, mittels des Appli- 
kationsprogrammes der Chipkarte, Uber 
das Endgerat ein Buchungsdatensatz 
und ein Message- Authentifikations- Code 
MAC erzeugt und zum Autorisierungssy- 40 
stem Ubertragen werden, 
daB nach PrUfung des Buchungsdaten- 
satzes in Verbindung mit dem MAC der 
aus der kreditorischen Borse abgebuchte 
Buchgeldbetrag, ebenfalls kryptogra- 45 
phisch gesichert, vom Autorisierungssy- 
stem Uber das Endgerat in die debitori- 
sche Borse geladen wird, 
dafi als Quittung uber den in die debitori- 
sche Borse der Chipkarte geladenen 50 
Buchgeldbetrag zuzuglich MAC wieder- 
um eine MAC-gesicherte Bestatigung, 
genannt MAC, kryptographisch gesichert 
Uber das Endgerat zum Autorisierungs- 
system Ubertragen wird, und 55 
daB MAC und MAC mit Schlusseln des 
Dienstebetreibers der kreditorischen Bor- 
se gebildet werden. 



3. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, 

- daB nach dem Eingeben der Chipkarte in 
ein Endgerat eines Dienstebetreibers 
dem Dienstebenutzer der aktuelle Stand 
der debitorischen und kreditorischen 
Borse angezeigt wird, 

- daB parallel zur Anzeige der Betrage 
eine Authentifikation der Chipkarte ge- 
genUber dem Autorisierungssystem, als 
auch eine Authentifikation des Autorisie- 
rungssystems gegenuber der Chipkarte 
durch geeignete kryptographische Ver- 
fahren stattfindet, 

- dafl nach Auslosen eines Umbuchungs- 
vorganges durch den Dienstenutzer zum 
AuffUllen der debitorischen Borse zu- 
nachst weitere Daten der debitorischen 
Borse der Chipkarte an das mit dem 
Endgerat ansteuerbare Autorisierungssy- 
stem Ubertragen werden, 

- daB anhand des Programms des Autori- 
sierungssystems UberprUft wird, ob das 
Verfallsdatum der debitorischen Borse 
abgelaufen ist, ob die Seriennummer in 
einer Sperrliste steht und ob mit dem 
Aufladevorgang das Limit des Buchgeld- 
betrages fUr die debitorische Borse Uber- 
schritten wird, 

- daB bei erfolgreicher PrUfung uber das 
Programm des Autorisierungssystems 
ein Auslesen weiterer Daten der kreditori- 
schen Borse der Chipkarte erfolgt, 

- daB Uber das Programm des Autorisie- 
rungssystems geprUft wird, ob das Ver- 
fallsdatum der kreditorischen Borse ab- 
gelaufen ist, ob die Seriennummer in ei- 
ner Sperrliste steht und ob der Kreditrah- 
men bei Abbuchung der gewunschten 
Summe gewahrt bleibt, 

- daS der Dienstenutzer durch das Pro- 
gramm des Autorisierungssystems uber 
das Endgerat zur Eingabe seiner person- 
lichen Geheimzahl PIN aufgefordert wird, 

- daB durch Eingabe der PIN und bei er- 
folgreicher Oberprufung durch die Chip- 
karte Uber den kryptographisch gesicher- 
ten Umbuchungsbefehl, der vom Autori- 
sierungssystem Uber das Endgerat zur 
Chipkarte Ubertragen wird, die Umbu- 
chung des gewunschten Buchgeldbetra- 
ges aus der kreditorischen in die debito- 
rischen Borse erfolgt, 

- daB als Quittung Uber den von der kredi- 
torischen Borse in die debitorische Bor- 
se umgebuchten Buchgeldbetrag wieder- 
um eine MAC-gesicherte Bestatigung 
kryptographisch abgesichert Uber das 
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Endgerat zum Autorisierungssystem 
ubertragen wird. 
- daB der MAC mit dem SchlOssel des 
Dtenstebetreibers der kreditorischen Bor- 
se gebildet wird, so daB dieser eine Vali- s 
dierung des Umbuchungsvorganges vor- 
nehmen kann. 
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